資料共享義務

Data-sharing obligations（資料共享義務）源自歐盟 Data Act（2024年正式生效），要求「資料持有者」（data holders）在用戶合理要求下，提供其產品或服務產生之資料。此義務的核心在於打破「數據孤島」，促進數據在整個價值鏈的流通。根據 Data Act 第 400 條至第 405 條規定，資料持有者必須提供用戶及經用戶授權之第三方存取其數據的技術性與商業性條件。此義務與 GDPR（一般資料保護規則）第 20 條「資料可攜權」相呼應，但範圍更廣，涵蓋非個人資料。在風險管理框架中，這屬於「法規風險」與「資訊安全風險」的交集領域，企業必須在資料流通便利性與商業秘密保護之間取得平衡，避免因不當揭露競爭優勢數據而違反 ISO 56001 創新管理系統的保護原則。此義務的實施將直接衝擊 IoT、智慧製造及汽車資通訊（CAV）等數據密集型產業的商業模式設計。

實務導入可分為三個階段：第一階段「資料盤點與分類」，企業需依 ISO 27701 框架盤點所有產品及服務所產生之數據類型（個人資料 vs. 非個人資料），並評估其商業秘密價值；第二階段「存取機制設計」，建立符合 Data Act 第 44 條要求的技術接口（API）或資料傳輸機制，確保用戶可無縫存取其數據；第三階段「風險評估與控制」，針對第三方存取場景進行 DPIA（資料保護衝擊評估）。以台灣汽車資通訊供應商為例，若其車載系統收集駕駛行為數據，需設計符合 Data Act 的資料共享介面，同時透過加密與存取權限管理（符合 ISO 27701 控制措施）防止商業秘密外洩。預期導入後，企業可降低 40% 的合規違規風險，並提升客戶信任度，提升市場競爭力。

台灣企業面臨三大挑戰：首先是「商業秘密與法規義務的衝突」，許多企業將產品數據視為核心資產，恐因 Data Act 義務洩密。建議採用「差分隱私（Differential Privacy）」技術，在提供數據的同時消除個資識別性，並依 ISO 56001 建立創新管理機制保護核心技術。其次是「技術基礎設施不足」，中小企業缺乏處理大規模 IoT 數據的平台，建議採用雲端加密資料湖（Data Lake）架構，降低基礎建設成本。第三是「跨國法規差異」，台灣企業同時面臨 GDPR、Data Act 及台灣個資法，建議建立「最高標準原則」的統一管理框架，優先符合 GDPR 要求，即可覆蓋大部分國際市場。建議企業在 6 個月內完成現況盤點，12 個月內建立完整合規機制，以避免歐盟市場的市場准入風險。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Data-sharing obligations相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact